**앤트로픽(Anthropic)**이 자사 생성형 AI ‘클로드(Claude)’에 새 보안 장치를 도입한 뒤, 디스틸레이션(distillation) 공격을 통한 데이터 탈취 규모가 약 90~99% 감소했다고 밝혔다. 앤트로픽은 이 과정에서 중국 AI 기업 **Z.ai(지푸·Zhipu)**를 대표적인 시도 주체로 지목했다.
핵심 내용
- 앤트로픽은 새 방어 체계로 디스틸러(distiller)가 클로드에서 빼갈 수 있는 데이터를 약 90~99% 줄였다고 밝혔다.
- 디스틸레이션 캠페인과 연관된 계정 ‘수만 개’를 이미 차단했다.
- Z.ai(지푸)는 GLM-5.3 모델을 개발하는 과정에서 클로드를 디스틸링하려 한 것으로 지목됐다.
클로드 디스틸레이션 방어 전략
앤트로픽은 10월 12일(현지시간) 연구 게시물을 통해 지난 몇 달간 적용해 온 디스틸레이션 방어 성과를 공개했다. 회사는 게시글에서 새 기법을 통해 디스틸러가 수집하는 데이터 양이 약 90~99% 줄어든 초기 증거가 있다고 설명하면서도, 이 효과가 얼마나 오래 지속될지는 아직 단언하기 어렵다고 선을 그었다. 방어 전략의 핵심은, 답변 전에 모델이 내부적으로 작성하는 단계별 추론 과정, 즉 ‘클로드의 사고 과정(reasoning)’을 어떻게 다루느냐에 맞춰져 있다.
새 버전인 Claude Fable 5.1과 Claude Opus 5.5에서는 8월 31일 이후 개설된 신규 API 계정에 대해 과거 맥락을 임의로 수정할 수 없도록 제한했다. 앤트로픽은 이를 ‘보존된 사고(preserved thinking)’ 기능이라고 부른다. 여기에 더해, 이중 단계(two-stage) 분류기를 도입해 추론 과정 추출 시도를 걸러내고 있으며, 오탐률(false positive rate)을 0.1% 미만으로 유지하고 있다고 설명했다. 회사에 따르면, 디스틸러들이 빼낼 수 있는 추론 토큰 수는 기존 대비 10~100분의 1 수준으로 줄었다.
앤트로픽은 디스틸레이션 공격과 연결된 계정 수만 개를 이미 정지시켰으며, 상당수는 탐지 후 2시간 이내에 조치가 이뤄졌다고 전했다.
함께 보기: GPT-6.1 Sol이 아사나의 에이전트 비용을 76배 줄였다, 하지만 함정이 있다
Z.ai 디스틸레이션 의혹
디스틸레이션은 더 작은 모델을 더 강력한 모델의 답변으로 학습시키는 기법으로, **오픈AI(OpenAI)**와 구글(Google) 역시 앤트로픽과 함께 이 방식이 경쟁사들이 선도 모델의 능력을 빠르고 저렴하게 모방하는 통로가 된다고 경고해 왔다. 특히 모델의 ‘추론 기록(reasoning transcript)’이 핵심 자산으로 꼽힌다. 앤트로픽이 자체 수행한 실험에서는, 클로드의 전체 추론 과정을 그대로 학습한 모델이 SWE-bench Verified 코딩 벤치마크에서 80.4%를 기록한 반면, 요약본만 학습한 모델은 71.8%에 그쳤다.
회사는 경고를 통해 이러한 모방이 안전성과 국가 안보 측면에서 위협이 될 수 있다고 지적했다. 디스틸된 모델 상당수가 원 모델과 같은 수준의 안전장치 없이 대중에 공개되기 때문이라는 설명이다. 앤트로픽은 Z.ai(지푸)가 GLM-5.3을 개발하는 과정에서 Claude Fable 5를 대상으로 디스틸레이션을 시도했으며, 사이버 보안 장치 강화로 공격 효율이 떨어지자 더 오래된 클로드 버전과 다른 연구소의 모델로 대상을 바꾼 정황이 있다고 주장했다. Z.ai는 이에 대한 논평 요청에 즉각 응답하지 않은 것으로 전해졌다.
현재까지 앤트로픽의 수치를 외부에서 독립적으로 검증한 사례는 없다. 앤트로픽 역시 이번 조치에 따른 비용과 부작용을 인정했다. 디스틸레이션 의심 트래픽을 차단하면서 일부 매출 기회를 포기해야 했고, 일부 개발자들은 통합 방식 변경이 불가피해졌다. 정당한 요청이 일시적으로 막히는 사례도 있었으며, 회사는 9월 24일부터 차단된 요청에 대해서도 요금을 다시 부과하기 시작했다.
이번 발표는 그간의 공방전 연장선에 있다. 앤트로픽은 지난 2월 발표를 통해 중국계 AI 기업 딥시크(DeepSeek), 문샷 AI(Moonshot AI), **미니맥스(MiniMax)**가 약 2만4,000개의 위장 계정을 동원해 클로드와 1,600만 건이 넘는 대화를 생성, 자사 모델을 고도화했다고 주장한 바 있다. 이어 9월 17일에는 미국 표준기술연구소(NIST, National Institute of Standards and Technology) 평가단이 보고서를 통해 Z.ai의 GLM-5.3을 지금까지 공개된 오픈 웨이트(open-weight) 모델 가운데 사이버 역량이 가장 높은 모델로 꼽았다. 다만 최첨단 미국 프런티어 모델과 비교하면 약 4개월 정도 성능 격차가 있는 것으로 평가됐다.
